RichterScale Vertragspaket

A · Leistungsbedingungen

Critical SaaS Renewal Review

1. Parteien und Vertragsgegenstand

Auftragnehmer ist die Knüss Media GmbH, Kestnerstraße 8, 30159 Hannover. Auftraggeber ist das im individuellen Angebot bezeichnete Unternehmen. Gegenstand ist die beleggestützte Prüfung eines geschäftskritischen ICT-Vertrags vor Abschluss oder Verlängerung und die Übergabe eines fachlich freigegebenen Decision Packs.

2. Leistungsumfang

Der Festpreis von 4.900 Euro netto umfasst ein Asset, bis zu zwölf Dokumente beziehungsweise 200 Seiten, einen strukturierten Intake, Belegregister, Kontrollurteile, Widerspruchsprüfung, Resilienz-Heatmap, Auflagen, Aufgaben, freigegebene Entscheidung und ein Ergebnisgespräch. Der Kontrollkatalog ordnet die konkreten Vertrags- und Betriebsbelege den relevanten Prüfgegenständen aus DORA Art. 28 bis 30 mit genauer Fundstelle zu.

3. Mitwirkung und Lieferzeit

Der Auftraggeber benennt einen Ansprechpartner, übermittelt verfügbare Originalunterlagen vollständig und beantwortet gebündelte Rückfragen innerhalb von zwei Arbeitstagen. Die Lieferzeit beträgt zehn Arbeitstage ab bestätigter Vollständigkeit von Intake und Unterlagen.

4. Abnahme und Korrektur

Die Leistung ist abnahmefähig, sobald sämtliche im Leistungsumfang bezeichneten Bestandteile im Decision Pack enthalten sind. Der Auftraggeber kann innerhalb von fünf Arbeitstagen eine gebündelte Korrektur belegbarer Tatsachen verlangen. Fachliche Neubewertungen aufgrund später eingereichter Unterlagen werden gesondert beauftragt.

5. Fachliche Grenze

RichterScale liefert eine technologiegestützte, menschlich freigegebene Prüf- und Entscheidungsvorlage. Individuelle Rechtsberatung, Vertretung, Vertragsgestaltung oder ein Rechtsgutachten werden bei Bedarf unmittelbar und gesondert durch lexICT beauftragt.

6. Vergütung und Fälligkeit

Die Vergütung beträgt 4.900 Euro netto zuzüglich gesetzlicher Umsatzsteuer. Sie wird nach Auftragsbestätigung in Rechnung gestellt und ist binnen 14 Tagen ohne Abzug fällig.

7. Haftung

Die Parteien haften unbeschränkt bei Vorsatz, grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt. Die Entscheidung über Abschluss, Verlängerung, Änderung oder Beendigung des geprüften Vertrags verbleibt beim Auftraggeber.

B · Auftragsverarbeitung

Vereinbarung gemäß Art. 28 DSGVO

1. Gegenstand und Dauer

Knüss Media verarbeitet die vom Auftraggeber bereitgestellten Falldokumente und Intake-Angaben ausschließlich zur Durchführung des beauftragten Reviews. Die Verarbeitung beginnt mit Bereitstellung des Fallzugangs und endet mit Löschung oder Rückgabe gemäß Abschnitt E.

2. Art und Zweck

Erhebung durch sicheren Upload, private Quarantäne, Malwareprüfung, Speicherung, Textextraktion, strukturierte Analyse, Verknüpfung mit Kontrollen, fachliche Prüfung, Erstellung und Übergabe des Decision Packs sowie dokumentierte Korrekturen.

3. Daten und betroffene Personen

Mögliche Datenarten sind geschäftliche Kontaktdaten, Namen und Funktionen von Vertragsbeteiligten, Beschäftigten- oder Ansprechpartnerdaten in Vertragsanlagen, technische Kennungen, Sicherheits- und Betriebsinformationen sowie weitere vom Auftraggeber eingereichte Inhalte. Betroffene können Beschäftigte, Organmitglieder, Ansprechpartner von Kunden und Lieferanten sowie sonstige in den Unterlagen genannte Personen sein.

4. Weisungen

Knüss Media verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Angebot, Auftrag, Upload und dokumentierte Fallkommunikation bilden die anfänglichen Weisungen. Hält Knüss Media eine Weisung für datenschutzwidrig, informiert es den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus.

5. Vertraulichkeit und Berechtigungen

Zugriffsberechtigte Personen sind auf Vertraulichkeit verpflichtet und erhalten Zugriff nach Aufgabe, Organisation und Fall. Die fachliche Prüfung durch lexICT ist auf die entscheidungsrelevanten Befunde und Belege begrenzt.

6. Sicherheit

Knüss Media setzt die in Abschnitt C beschriebenen Maßnahmen ein und entwickelt sie unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten und Verarbeitungszweck fort.

7. Unterauftragnehmer

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Abschnitt D benannten Unterauftragnehmer. Knüss Media informiert mindestens 30 Tage vor einer beabsichtigten Ergänzung oder Ersetzung. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Knüss Media verpflichtet Unterauftragnehmer mindestens zu gleichwertigen Datenschutzpflichten.

8. Unterstützung

Knüss Media unterstützt den Auftraggeber im erforderlichen Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen, Sicherheitsbewertungen und Nachweisen. Anfragen betroffener Personen werden ohne eigene Sachentscheidung an den Auftraggeber weitergeleitet.

9. Sicherheitsvorfälle

Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich von Knüss Media werden dem Auftraggeber unverzüglich nach Bekanntwerden gemeldet. Die Meldung enthält die verfügbaren Angaben zu Art, Umfang, Folgen, Gegenmaßnahmen und Kontaktstelle; fehlende Informationen folgen schrittweise.

10. Nachweise und Prüfungen

Knüss Media stellt erforderliche Informationen zum Nachweis der Pflichten bereit. Prüfungen werden mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Schutz der Rechte anderer Kunden durchgeführt. Gleichwertige aktuelle Nachweise können eine Vor-Ort-Prüfung ersetzen, soweit der Prüfzweck erreicht wird.

11. Löschung und Rückgabe

Nach Abschluss der Leistung löscht oder übergibt Knüss Media personenbezogene Daten nach Wahl des Auftraggebers gemäß Abschnitt E, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

C · TOMs

Technische und organisatorische Maßnahmen

D · Unterauftragnehmer

Verarbeitungskette

E · Löschung und Rückgabe

Falldaten haben einen definierten Lebenszyklus.

1. Während des Reviews: Originale, Extrakte, Befunde und Freigaben bleiben dem aktiven Fall zugeordnet.
2. Nach Übergabe: Der Auftraggeber erhält das Decision Pack und kann die Rückgabe weiterer bereitgestellter Unterlagen verlangen.
3. Regelfrist: RichterScale terminiert die Löschung mit der Freigabe und entfernt Originaldokumente und daraus erzeugte Arbeitsdaten 90 Tage nach Übergabe automatisch.
4. Nicht abgeschlossene Fälle: Originaldokumente und erzeugte Arbeitsdaten werden spätestens 180 Tage nach Fallanlage automatisch entfernt.
5. Vorzeitige Löschung: Der Auftraggeber kann nach abgeschlossener Übergabe eine frühere Löschung anweisen.
6. Nachweisakte: Auftrag, Rechnungs- und Freigabenachweise sowie das übergebene Decision Pack können im erforderlichen Umfang für gesetzliche Aufbewahrung, Anspruchssicherung und Auditnachweis getrennt gespeichert werden.
7. Sicherungen: Gelöschte Daten laufen gemäß den Sicherungszyklen der Infrastrukturprovider aus und werden in der Zwischenzeit ausschließlich zur Wiederherstellung verwendet.

F · Vertraulichkeit

Vertrags- und Sicherheitsinformationen bleiben zweckgebunden.

Beide Parteien behandeln alle als vertraulich gekennzeichneten oder ihrer Natur nach vertraulichen Informationen geheim. Dazu zählen insbesondere Verträge, Preise, Architektur, Zugangsdaten, Sicherheitsbefunde, Betriebsmodelle, personenbezogene Daten und das Decision Pack. Zugriff erhalten ausschließlich Personen, die ihn für Vertragserfüllung oder fachliche Prüfung benötigen und entsprechend verpflichtet sind.

Die Pflicht gilt über das Vertragsende hinaus. Gesetzliche Offenlegungspflichten bleiben unberührt; die offenlegende Partei informiert die andere Partei vorher, soweit rechtlich zulässig, und begrenzt die Offenlegung auf das Erforderliche. Eine Nutzung als öffentliche Referenz, Fallstudie oder Trainingsmaterial setzt eine gesonderte schriftliche Freigabe voraus.